無料のTV配信サービスを装った悪意ある広告キャンペーンが、Metaユーザー約570,000人に到達していたことが判明しました。
このキャンペーンを発見した研究者によると、配信サービスをテーマにした広告はスペイン語話者を標的としており、確認された被害者の大半はスペインに所在していました。あるMetaキャンペーンは2026年6月11日から7月3日まで実施され、同じバナーがTikTokでもマルウェアの拡散に使われていました。
公開されているデータが示すのは広告の到達範囲であり、ダウンロード数や感染件数ではありません。しかし、有料広告がいかに短期間で非常に多くの人々に詐欺を届けられるかを物語っています。
この広告が宣伝していたのは、StreamRatと呼ばれるAndroid向けのバンキング型トロイの木馬兼情報窃取ツールです。画面上の表示を監視したり、アプリに入力された情報を取得したり、本物そっくりの偽画面を表示してユーザー名やパスワードを盗んだり、攻撃者が端末を遠隔操作できるようにしたりする機能を備えています。
私たちは日頃から、身に覚えのないテキストメッセージやメールに含まれる不審なリンクをクリックしないよう注意を呼びかけています。しかし、悪意ある広告はもっと見分けにくいものです。なぜなら、人々がプロモーションや動画、おすすめコンテンツを目にすると期待している、まさにそのフィードの中に現れるからです。
今回のキャンペーンは、ソーシャルメディアユーザーを守るうえで「事後」の広告審査がいかに不十分かを如実に示す例と言えるでしょう。攻撃者は見慣れたソーシャルメディア広告と、状況に応じて丁寧に作り込まれた案内を組み合わせ、無料エンターテインメントへの何気ない興味を、危険なアプリのインストールへと巧みに誘導しました。
攻撃の手口
広告をクリックすると、配信プラットフォームを装ったウェブサイトに誘導されます。このサイトは訪問者がAndroidを使用しているかどうかを判定していました。Android以外のユーザーには単にダウンロードをさせず、Androidユーザーにのみアプリのダウンロードオプションが表示される仕組みです。これは、詐欺師が自分たちのマルウェアが感染できる端末に狙いを絞る際によく使われる手口です。
さらにこのサイトは、訪問者がInstagram、TikTok、Facebook、通常のブラウザのいずれ経由でアクセスしたかも判別していました。そのうえで、状況に応じた案内を表示し、ブラウザに「提供元不明のアプリ」のインストールを許可する手順まで示していました。つまりこれは、単なる汎用の悪意あるダウンロードページではなく、本来なら立ち止まって考えるきっかけとなるはずのセキュリティ警告を、人々が乗り越えるよう誘導するために設計されたものだったのです。
StreamRatはAndroid向けのバンキング型トロイの木馬兼情報窃取ツールです。画面上の表示を監視し、アプリに入力された情報を取得し、本物そっくりの偽画面を表示してユーザー名やパスワードを収集し、攻撃者が端末を遠隔操作できるようにします。研究者はさらに、画面を黒一色のページや偽のAndroidアップデート画面で覆い隠す機能も確認しています。これらは、犯罪者が裏で端末を操作している間、被害者の注意をそらす目的で使われる可能性があります。
安全を守るために
今回のキャンペーンはスペイン語話者、特にスペイン国内のユーザーを標的としていましたが、以下のガイドラインは同様の攻撃を避けるうえで誰にとっても役立ちます。
- 広告、直接ダウンロード型のウェブサイト、ソーシャルメディアのメッセージ、スポンサー付き検索結果、見知らぬ人物から送られてきたリンク経由でAndroidアプリをインストールしないこと。
- できる限りGoogle Play経由でアプリをダウンロードし、広告だけを鵜呑みにせず、開発者名やレビュー、アプリの履歴を確認すること。
- 「提供元不明のアプリ」のインストールを有効にする前に、当社のガイド「Androidのサイドローディングとは何か、なぜ危険で、どうすればより安全に行えるか」をお読みください。
- アプリがアクセシビリティ機能へのアクセス、画面共有権限、デバイス管理者権限、あるいはデフォルトのランチャーになる許可を求めてきた場合は、十分に注意すること。アプリの本来の用途と釣り合わない権限要求は、非常に疑わしい兆候です。
- すべての端末で、最新の状態を保ったリアルタイム型アンチマルウェアソリューションを使用すること。
不審なアプリをインストールしてしまった場合の対処法
不審なAPKをインストールし、アクセシビリティ機能へのアクセスを許可してしまった場合は、まずスマートフォンをWi-Fiとモバイルデータ通信から切断してください。可能であれば、そのアプリのアクセシビリティ権限を取り消したうえで削除してください。パスワードの変更は別の端末から行い、感染した端末でバンキングアプリを使用していた場合は銀行にも連絡してください。感染を確実に除去できる自信がない場合は、工場出荷時リセットが必要になることもあります。
Malwarebytes for AndroidはStreamRatをAndroid/PUP.Agent.ACR02DB0614H7として検出します。
詐欺師は、あなたが思っている以上にあなたのことを知っています。
Malwarebytes Mobile Securityは、フィッシング、詐欺テキスト、悪意あるサイトなどからあなたを守ります。リアルタイムAI搭載のScam Guardも標準搭載です。
